Kuidas OpenVPN data-ciphers valib andmekanali šifri

Tunnel tõuseb, log näitab šifrit ja profiili ülevaatus jätkub. Siis jõuab partneri juurde uuendus ja sama profiil ebaõnnestub teatega, et ühist šifrit pole, mis saadab inimesed otsima direktiivi, mida kustutada. Kasulik on mõista, et data-ciphers kirjeldab läbirääkimist, mitte seadet. Üks pool pakub nimekirja, teine valib sealt, ja tulemuseks on üks algoritm, mida mõlemad toetavad. Selle vahetuse lugemine selgitab enamikku neist vigadest enne, kui muudate üht rida.

Kaks kanalit, kaks konfiguratsiooni

Igal OpenVPN-sessioonil on juhtkanal ja andmekanal. Juhtkanal käivitab TLS-kätluse, mis autendib partnerid ja lepib kokku võtmed. Andmekanal krüpteerib paketid, mis kannavad teie liiklust.

data-ciphers konfigureerib teise. Juhtkanalil on oma valikud ja profiili identiteedikontrollid on kolmas, eraldi teema. Ühe muutmine ei paranda teist, mistõttu võib profiil tunduda korrektne ja siiski teatud etapis ebaõnnestuda.

Hoidke need kolm eraldi lahtrites, kui loete konfiguratsioonifaili.

Lugege läbirääkimist logist

Kliendi log nimetab mõlemad tulemused, kui ühendus õnnestub. Üks rida teatab juhtkanalist ja selle TLS-i üksikasjadest, teine aga valitud andmekanali šifrist.

Lugege mõlemat, sest need vastavad erinevatele küsimustele. Juhtkanali rike peatab ühenduse enne, kui ükski andmešiffer oluliseks muutub. Andmekanali lahknevus ilmub pärast edukat kätlust, teatega ühise šifri puudumise kohta.

Seejärel võrrelge pakutavaid nimekirju mõlemal poolel. Nime, mida ühe partneri versioon või krüpto aluskiht ei paku, ei saa valida, ükskõik kui vara see teise partneri nimekirjas esineb.

Kuidas valik tegelikult toimub

Server lükkab kätluse ajal oma data-ciphers nimekirja kliendile ja klient valib esimese kirje selles nimekirjas, mida ta ise ka toetab. Järjekord kuulub seega serveri konfiguratsiooni, mitte kliendi omale.

See detail selgitab ühte tüüpi segadust tekitavaid tulemusi. Kliendi nimekirja ümberjärjestamine ei muuda midagi, kuni otsustab serveri nimekiri. Ka šifri lisamine, mida klient pakkuda ei saa, ei muuda midagi, sest klient peab valitud kirjet kasutama.

Uuemad versioonid muutsid vaikenimekirja ja nimetasid ümber valiku, mis seda varem hoidis, nii et eri versioonidel olevad partnerid võivad olla eriarvamusel, ilma et keegi profiili muudaks. Enne trükivea oletamist kontrollige versiooni mõlemal poolel.

Nimekiri ei ole abstraktses mõttes tugevuse edetabel. See on kandidaatide hulk ja valituks osutub esimene vastastikku toetatud kirje serveri järjekorras. Seetõttu võivad kaks erinevana näivat nimekirja leppida kokku sama šifri. Samuti võivad kaks identse näoga nimekirja ebaõnnestuda.

Vanemad partnerid vajavad teadlikku varuvarianti

Partner, kes ei saa üldse läbi rääkida, sest on mehhanismist vanem või on selle välja lülitanud, vajab dokumenteeritud ühilduvuskorda. Varuvalik on mõeldud täpselt selleks juhuks ja kehtib partneritele, kes läbirääkimistest ei osale.

See ei ole sama, mis kõigi vanade šifrite lubamine, et teade kaoks. Lai nimekiri nõrgendab sessiooni iga partneri jaoks, sealhulgas nende jaoks, kes oleksid kokku leppinud midagi tugevat.

Kooskõlastage kaks poolt, selle asemel et muuta mitteseotud algoritminimesid. Kui serveri uuendus eemaldas vana valiku, kuulub parandus versiooniplaani, mitte kliendi juures siblimisse.

Hoidke kontrollimine puutumatuna

Andmekanali lahknevus ei ole põhjus nõustuda kontrollimata serveriga. Sertifikaadi kontrollimine, oodatud serveri nimi ja juhtkanali kaitse sätted on šifri valikust eraldi ja peaksid üle elama iga ühilduvusmuudatuse.

Kirjutage kokku lepitud andmešiffer, kliendi versioon ja serveri versioon koos, et järgmine võrdlus algaks faktidest, mitte profiilifailist.

Pärast toetatud parandust katsetage algset ühendust ja uut läbirääkimist, sest sessioon, mis kord luuakse, võib võtmete uuendamisel siiski ebaõnnestuda.

Kui tunnel luuakse ja saidid ikka ei avane, ei ole šiffer enam kahtlusalune. Jätkake marsruutimise ja DNS-iga. Töö järjekord: lugege mõlemad logiread, võrrelge mõlemat nimekirja, kontrollige versioone, lisage varuvariant ainult partnerile, kes seda vajab, ja seejärel testige uuendamise teekonda uuesti.